21世紀經(jīng)濟報道記者 王俊 見習記者 鐘雨欣 北京報道

編者按：作為中國首部專門個人信息保護的專門性法律，個人信息保護法千呼萬喚始出來。頒布一年后，個人信息保護法給企業(yè)運營、社會公眾帶來了哪些影響，仍有哪些地方需要完善改進？21世紀經(jīng)濟報道-南財合規(guī)科技研究院長期關(guān)注個人信息保護議題，持續(xù)跟蹤報道立法進程、監(jiān)管動態(tài)、公眾呼聲。在個保法即將實施一周年之際，拋出備受關(guān)注的關(guān)鍵話題，以期能引來更多的探討，推動這部法律的實施。

(相關(guān)資料圖)

每天，有1/3的人類線上行為都要受到Meta平臺政策的約束。

2022年一季度，Meta旗下的社交軟件Facebook、Instagram、Messenger、WhatsApp等每日平均活躍人數(shù)（DAU）為28.7億人，超過世界人口的1/3；其中，僅Facebook的DAU就高達19.6億人。

這或是數(shù)字經(jīng)濟時代的一種“等價交換”——作為買方的用戶通過讓渡部分“自由”來與平臺交換“便利”。

賣方的“Meta”們，掌握著海量用戶數(shù)據(jù)支配權(quán)以及平臺規(guī)則制定權(quán)，因此被要求承擔“守門人”的義務。

在大洋彼岸如此，在中國也是如此。

2021年8月，中國《個人信息保護法》創(chuàng)設(shè)性提出了“守門人”條款。但一年過去，中國的“守門人”制度似乎仍呈現(xiàn)一定程度的“水土不服”。

誰來“守門”？

“數(shù)字守門人”，常被解釋為看門人、關(guān)守、網(wǎng)守、守望者等，在互聯(lián)網(wǎng)領(lǐng)域，泛指守衛(wèi)網(wǎng)絡入口的人和控制訪問的人。

坐擁龐大用戶數(shù)量以及絕對技術(shù)與數(shù)據(jù)優(yōu)勢的平臺巨頭，掌管著人們進入互聯(lián)網(wǎng)世界的信息入口，形塑公眾的行為習慣，也改變著數(shù)字經(jīng)濟社會秩序，逐漸構(gòu)建起自身的數(shù)字王國。

素來警覺的歐洲大陸，對于平臺巨頭的支配力量日漸敏感，就此掀起對監(jiān)管風暴，并經(jīng)數(shù)年探討將“數(shù)字守門人”引入立法。

2021年8月20日，中國《個人信息保護法》頒布，創(chuàng)設(shè)性提出了“守門人”條款，在58條以4個款項200余字，規(guī)定了“守門人”平臺需承擔的義務與責任，以期抓住個人信息保護的關(guān)鍵和核心環(huán)節(jié)。

不過，歐盟的數(shù)字守門人是基于競爭法或者管制角度設(shè)計，移植到個人信息保護領(lǐng)域是否能發(fā)揮其作用？在個人信息保護領(lǐng)域，哪些平臺企業(yè)會被納入“守門人”，他們將如何在實踐中踐行法律規(guī)定？原則性條款如何落地？個人信息保護與反壟斷在數(shù)字經(jīng)濟領(lǐng)域的競合關(guān)系日趨明顯，該如何平衡，怎么避免“責任”的濫用？

這一系列的問題決定著“守門人”制度能否在實踐中展現(xiàn)自身的生命力。

個人信息是數(shù)字時代的原材料，其疊加累積形成的大數(shù)據(jù)，是平臺企業(yè)競爭的關(guān)鍵，可以幫助企業(yè)預測、營銷、決策、發(fā)展、競爭。所謂的流量爭奪，背后是用戶以及用戶個人信息的爭奪之戰(zhàn)。

有爭奪便會有損害，違法違規(guī)或過度收集個人信息、濫用個人信息情況伴生。中國社會科學院法學研究所副所長、中國法學會網(wǎng)絡與信息法學研究會負責人周漢華表示，互聯(lián)網(wǎng)平臺對于促進數(shù)字經(jīng)濟發(fā)展發(fā)揮著重要作用，但隨著互聯(lián)網(wǎng)平臺企業(yè)的壯大，逐漸出現(xiàn)了一些超級平臺利用數(shù)據(jù)優(yōu)勢阻礙競爭、侵害用戶權(quán)益等現(xiàn)象，加強對互聯(lián)網(wǎng)平臺特別是超級平臺的治理已經(jīng)成為全球共識。這種情況下，《個人信息保護法》加入“守門人”條款是有必要的。

中國人民大學法學院教授張新寶主張強化大型互聯(lián)網(wǎng)平臺的個人信息保護義務，抓住互聯(lián)網(wǎng)治理的關(guān)鍵和核心環(huán)節(jié)，就此引入“守門人”概念，被納入《個人信息保護法》。《個人信息保護法》第五十八條對“提供重要互聯(lián)網(wǎng)平臺服務、用戶數(shù)量巨大、業(yè)務類型復雜的個人信息處理者”課以特別義務。

然而，誰來“守門”？目前仍缺乏“考量”標準，“用戶數(shù)量巨大”、“業(yè)務類型復雜”該如何理解？

張新寶認為，大型互聯(lián)網(wǎng)平臺企業(yè)是指控制著商業(yè)用戶（個人信息處理者）觸達終端用戶（個人信息主體）的主要渠道、用戶規(guī)模大、計算能力強且產(chǎn)業(yè)覆蓋面廣的互聯(lián)網(wǎng)平臺經(jīng)營者。

在他看來，“守門人”應包括移動終端操作系統(tǒng)、應用程序分發(fā)平臺和平臺型App。他特別指出，“守門人”條款規(guī)定的是平臺而不是公司，不是以法人獨立的單位劃分的，而是以平臺劃分的。大型互聯(lián)網(wǎng)平臺企業(yè)可能是幾家獨立的公司，但只要處于一個平臺就屬于規(guī)定范疇內(nèi)。

參考《互聯(lián)網(wǎng)平臺分類分級指南（征求意見稿）》對平臺的劃分方式，張新寶表示，《個人信息保護法》第58條“大型互聯(lián)網(wǎng)平臺企業(yè)”應對標超級平臺經(jīng)營者與大型平臺經(jīng)營者?！耙驗槌笃脚_只有幾個，只規(guī)制超大平臺，那法律條文便失去意義。《指南》里提到的大型平臺也應屬于第58條的規(guī)定范疇。接下來可以再繼續(xù)制定實施細則，或者通過法院的案件審判來明確具體裁量標準?！?/p>

不過，個人信息保護領(lǐng)域中的“守門人”如何與競爭法視角下的“守門人”融合、平衡，側(cè)重點是否應有不同？如何劃定范圍？目前來看，“守門人”制度的第一關(guān)，“誰來守門”仍未確切定論。

“守門人”難當

執(zhí)行難是制度落地的第二個關(guān)卡。

首先的考驗來自標新立異的法律規(guī)定?！秱€人信息保護法》第58條第一款規(guī)定，“守門人”平臺應當按照國家規(guī)定建立健全個人信息保護合規(guī)制度體系，成立主要由外部成員組成的獨立機構(gòu)對個人信息保護情況進行監(jiān)督。

這個規(guī)定讓不少互聯(lián)網(wǎng)平臺望而卻步。面對全新的事物，除騰訊、攜程發(fā)布了相關(guān)招募啟事外，大型平臺企業(yè)都保持沉默。

南方財經(jīng)合規(guī)科技研究院院長虞偉曾指出，國內(nèi)相關(guān)法律法規(guī)中尚未出現(xiàn)過類似提法，甚至在隱私保護最為嚴格的歐洲，都未有過針對企業(yè)個人信息保護設(shè)立外部獨立監(jiān)督機構(gòu)的先例。

攜程方面向21世紀經(jīng)濟報道記者表示，組建外部監(jiān)督專家團是希望能通過引入第三方獨立機構(gòu)監(jiān)督和評估產(chǎn)品或服務，提出意見建議，從而進一步完善個人信息保護工作，保障用戶權(quán)益。

攜程相關(guān)負責人介紹，通過公開發(fā)布“個人信息保護外部監(jiān)督專家團”招募公告，公司對報名情況進行匯總和遴選，最終確定了9位專家監(jiān)督員，包括資深的旅游行業(yè)專家、法學教授、律師、媒體代表等，不排除今后根據(jù)實際情況補充成員的可能性。

“我們建立了專家團專項工作群，該工作群由公司個人信息保護負責人、法務負責人與各位專家組成，以便專家能夠隨時對攜程個人信息保護的相關(guān)工作提出指導意見和建議。在收到意見建議后，我們會立即安排相關(guān)工作人員進行調(diào)查，并第一時間反饋調(diào)查結(jié)果或解決方案。同時，攜程根據(jù)實際情況，不定期向?qū)＜覉F匯報個人信息保護方面的工作進展。專家團還會結(jié)合熱點案件分享專業(yè)經(jīng)驗，幫助攜程進一步完善個保工作?！睌y程相關(guān)負責人表示。

雖然已有企業(yè)率先“破題”，但個人信息保護法頒布一年后，大部分互聯(lián)網(wǎng)平臺企業(yè)仍“按兵不動”，尚未公布設(shè)立“獨立機構(gòu)”監(jiān)督個人信息保護情況的相關(guān)消息。

有觀點認為，出現(xiàn)上述現(xiàn)象的一個原因在于企業(yè)對于法條的理解有難度。張新寶認為，“獨立監(jiān)督機構(gòu)”應內(nèi)設(shè)于大型互聯(lián)網(wǎng)平臺企業(yè)，與企業(yè)的日常經(jīng)營管理部門隔離，獨立進行個人信息保護監(jiān)督，而不應該是獨立的社會監(jiān)督機構(gòu)或國家機關(guān)。

“獨立監(jiān)督機構(gòu)是大型互聯(lián)網(wǎng)企業(yè)公司治理的重要組成部分，是一個創(chuàng)新的制度，主要通過引入外部成員對企業(yè)的個人信息保護情況進行監(jiān)督，確保企業(yè)在個人信息保護方面合規(guī)運行?！睆埿聦毟嬖V記者。

作為一個仍在探索中的制度，還有諸多問題亟待解決：外部監(jiān)督機構(gòu)能否實現(xiàn)真正“獨立”？如何保障監(jiān)督效果？企業(yè)如何把握向外部監(jiān)督機構(gòu)披露信息的尺度？

雖然，目前相關(guān)部門正在起草“大型互聯(lián)網(wǎng)企業(yè)個人信息保護監(jiān)督機構(gòu)”相關(guān)國家標準，配套的細化規(guī)則落地后，相關(guān)企業(yè)開展合規(guī)工作將有更清晰的依據(jù)和指引。

但距離中國的互聯(lián)網(wǎng)企業(yè)都能進入“守門人”角色，似乎仍有一段長路要走。

“守門人”權(quán)力濫用的迷思

即便互聯(lián)網(wǎng)企業(yè)能快速進入“守門人”角色，又伴生出另外一個風險——“守門人”權(quán)利濫用。

“守門人”條款規(guī)定了相關(guān)平臺企業(yè)應履行的四項義務，在“能力越大，責任越大”的立法邏輯之下，不少聲音擔憂責任被異化。

大型平臺不僅僅是一個經(jīng)營個體，更具備管理者的身份，這種身份是否會借個人信息保護的名義被濫用，是立法時爭議最大的。

對此，個人信息保護法草案二審稿時增加了“守門人”第二項要求，即相關(guān)平臺應“遵循公開、公平、公正的原則，制定平臺規(guī)則，明確平臺內(nèi)產(chǎn)品或者服務提供者處理個人信息的規(guī)范和保護個人信息的義務”，回應了“制度濫用”爭議。

張新寶告訴21世紀經(jīng)濟報道記者，二審稿中新增該項規(guī)定有兩項理由：一是《電子商務法》第32條作出了類似規(guī)定，“電子商務平臺經(jīng)營者應當遵循公開、公平、公正的原則，制定平臺服務協(xié)議和交易規(guī)則，明確進入和退出平臺、商品和服務質(zhì)量保障、消費者權(quán)益保護、個人信息保護等方面的權(quán)利和義務?！倍菦Q策者認為要在公平、公開、公正的基礎(chǔ)上來制定平臺規(guī)則，平臺規(guī)則不能成為企業(yè)自身實施不正當競爭、強化壟斷的工具。

張新寶認為，大型平臺制定平臺規(guī)則之后，國家需要審查相關(guān)規(guī)則是否達到了公平、公正、公開的要求，是否貫徹了個人信息保護法的原則和精神。

“守門人”條款第三項也提及，相關(guān)大型平臺應“對嚴重違反法律、行政法規(guī)處理個人信息的平臺內(nèi)的產(chǎn)品或者服務提供者，停止提供服務”。企業(yè)作為民事主體，這種“執(zhí)法”應當是謹慎的，尤其是做處罰決定時，如果在判斷標準不明的情況下停止提供服務可能會引發(fā)爭議。

中國社科院大學競爭法研究中心執(zhí)行主任韓偉從反壟斷的視角提出看法，新修訂的《反壟斷法》也強調(diào)了經(jīng)營者不得利用平臺規(guī)則從事該法禁止的壟斷行為，與《個人信息保護法》“守門人”相關(guān)條款構(gòu)成銜接關(guān)系。值得注意的是，個人信息保護與反壟斷在數(shù)字經(jīng)濟領(lǐng)域的競合關(guān)系日趨明顯，且呈現(xiàn)出統(tǒng)一與沖突的復雜關(guān)系，個人信息“弱保護”與“強保護”近年在國際上均出現(xiàn)反壟斷案例。反壟斷法律制度在個人信息保護方面整體處于輔助角色，且應遵循競爭機理，即關(guān)注企業(yè)之間圍繞個人信息保護的競爭水平維系。

他認為，就《個人信息保護法》的“守門人”制度而言，由于該制度運行效果仍待實踐檢驗，建議該法實施初期不宜將“守門人”范圍覆蓋過寬。獨立監(jiān)督機構(gòu)這一規(guī)則的推進過程中，還需警惕不同主體的“經(jīng)濟人”逐利性以及被“俘獲”的可能性，避免制度效果變異。

周漢華建議，在配套政策制定層面，期待國家網(wǎng)信辦出臺大型平臺的具體認定機制和標準，動態(tài)發(fā)布被認定為大型平臺的名單，并就大型平臺社會責任報告提供具體指引目錄。此外，還可以結(jié)合實踐中相關(guān)平臺企業(yè)發(fā)布社會責任報告的情況，適時選出最佳實踐予以引導和推廣。

被寄予厚望的中國“守門人”制度如何發(fā)揮其在個人信息保護領(lǐng)域的效用，看起來道阻且長，考驗監(jiān)管智慧，也考驗守門人平臺的決心。

關(guān)鍵詞： 個人信息 個人信息保護法